AWSの設定

AWSで、

agent_role

という名前のIAMロールを作成し、Secure AgentがインストールされているAmazon EC2インスタンスにアタッチします。または、既存のIAMロールをSecure Agentロールに指定することもできます。

IAMロールの作成手順については、AWSのドキュメントを参照してください。AWSは、AWSマネジメントコンソールやAWS CLIを使用するなど、IAMロールを作成する方法をいくつか提供しています。

AWSで、

cluster_operator_role

という名前のクラスタオペレータのIAMロールを作成します。

次のIAMポリシーを

cluster_operator_policy

という名前で作成します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketLocation",
        "s3:GetEncryptionConfiguration",
        "s3:ListBucket",
        "s3:PutObject",
        "s3:GetObjectAcl",
        "s3:GetObject",
        "s3:DeleteObject",
        "s3:PutObjectAcl"
      ],
      "Resource": [
        "arn:aws:s3:::<cluster-staging-dir1>/*",
        "arn:aws:s3:::<cluster-logging-dir1>/*"
      ]
    }
  ]
}

<cluster-staging-dir1>

と

<cluster-logging-dir1>

を、それぞれお使いのステージングとログの場所に置き換えます。頻繁に変更されるS3の場所に対応するために、ワイルドカードを使用できます。詳細については、AWSのマニュアルを参照してください。

IAMポリシー

cluster_operator_policy

をIAMロール

cluster_operator_role

にアタッチします。

Secure Agentロールを含めるようにクラスタオペレータロールの信頼関係を設定します。Secure Agentはクラスタオペレータロールを引き受ける必要があるため、クラスタオペレータロールはSecure Agentを信頼する必要があります。

IAMロール

cluster_operator_role

の信頼関係を編集し、次のIAMポリシーを指定します。

{
      "Version": "2012-10-17",
      "Statement": [
            {
              "Effect": "Allow",
              "Principal": {
                "Service": "ec2.amazonaws.com"
              },
              "Action": "sts:AssumeRole"
            },
            {
              "Effect": "Allow",
              "Principal": {
                "AWS": "arn:aws:iam::{{account-id}}:role/agent_role"
              },
              "Action": "sts:AssumeRole",
            }
        ]
    }

Principal要素の値はSecure AgentロールのARNです。

必要に応じて、Secure Agentのみがクラスタオペレータロールを引き受けることができるように外部IDを設定できます。

例えば、次のポリシーを使用して外部ID「123」を設定できます。

{
      "Version": "2012-10-17",
      "Statement": [
            {
              "Effect": "Allow",
              "Principal": {
                "Service": "ec2.amazonaws.com"
              },
              "Action": "sts:AssumeRole"
            },
            {
              "Effect": "Allow",
              "Principal": {
                "AWS": "arn:aws:iam::{{account-id}}:role/agent_role"
              },
              "Action": "sts:AssumeRole",
              "Condition": {
                "StringEquals": {
                  "sts:ExternalId": "123"
                }
              }
            }
        ]
  }

Microsoft Azureの設定

Google Cloudの設定

storage.buckets.get
storage.objects.create
storage.objects.delete
storage.objects.get
storage.objects.list
storage.objects.update